| Abstract | Od 2018. broj kazni zbog povreda GDPR-a stalno raste. Njihova je visina uglavnom porasla, kazne iz 2021. protiv "Big Tech"-a zasjenjene su kaznama iz 2022. Glavne povrede su nedostatna pravna osnova za obradu podataka, nepoštivanje općih načela obrade podataka te nedostatne tehničke i organizacijske mjere za osiguranje informacijske sigurnosti. Najaktivnija po broju izdavanja kazni je Španjolska, ali njezino nadzorno tijelo nije preoštro s iznosom. Od talijanskog nadzornog tijela aktivnije je samo španjolsko, ali talijansko ima veliku prednost u nametnutim iznosima. Poseban slučaj je luksemburško nadzorno tijelo s jednom kaznom, koja otkad je izdana, ostaje najviša kazna ikada od 746 00 000 €, ali s inače vrlo malim ukupnim brojem kazni. Irsko nadzorno tijelo izdalo je kazne u iznosu od preko 850 000 000 € za “Big Tech”, što je posebno zanimljivo s obzirom na to da mnoga tehnološka poduzeća biraju Irsku za svoje europsko sjedište zbog, između ostalog, niskog poreza na dobit. U borbu protiv „Big Tech“-a uključilo se i francusko nadzorno tijelo, čije su najviše kazne izdane Facebook-u i Google-u. Sektor koji je platio najveći iznos kazni je “Mediji, telekomunikacije i emitiranje”, što i nije šokantno s obzirom da spomenute kazne tehnološkim poduzećima pripadaju ovom sektoru. Priroda ovog sektora potencijalno dopušta najunosnije kršenje GDPR-a, budući da uključuje jednostavno prikupljanje i prodaju podataka marketinškim stručnjacima. Slijedi “Industrija i trgovina” s najviše kazni, ali čiji je ukupni iznos uglavnom toliko visok zbog već spomenutih 746 000 000 € kazne od strane luksemburškog nadzornog tijela.
EDPB je objavio “Smjernice za izračun administrativnih kazni zbog povrede GDPR-a” koje su se pokazale prilično kontroverznima. Uvođenje početnih točaka za izračun novčanih kazni opsežno je kritizirano jer nije uopće spomenuto u GDPR-u. Korištenje globalnog prometa poduzeća u izračunu potaknulo je mnoge da traže više jasnoće i pitaju se o stvarnim ciljevima GDPR-a u vezi s izricanjem kazni. Kritičari su često spominjali olakotne okolnosti, ponajviše zbog mišljenja da ih je premalo. Čini se da su kodeksi ponašanja znatno manje važni EPDB-u nego komentatorima, jer je nepoštivanje istih po njima samo moguća otegotna okolnost. Smjernice još nisu konačne i bit će vrlo zanimljivo vidjeti što će se promijeniti, a što ne.
Uz više kazni, dodatna objašnjenja od nadzornih tijela i smjernica, može se očekivati da će kazne izrečene zbog povreda GDPR-a biti usklađenije u narednim godinama. Važan dio ovog procesa čine internetske baze podataka, kao što je GDPR Enforcement Tracker, koji je ekstenzivno korišten u pisanju ovog rada. |
| Abstract (english) | Since 2018, the number of GDPR fines keeps steadily growing. Their severity has mostly increased, fines from 2021 against “Big Tech” being overshadowed by 2022 fines. Top violations are insufficient legal basis for data processing, non-compliance with general data processing principles and insufficient technical and organizational measures to ensure information security. The most active in the activity of issuing fines is Spain, but its DPA is not too harsh with the amount. Italian DPA, on the other hand is both active, being bested only by Spain, but with a significant lead on the sum gathered. Special case is Luxembourg DPA with a single fine, that since it has been issued, stands as the highest fine ever at 746 00 000 € but with a very low number of other fines. Ireland DPA has issued over 850 000 000 € worth of fines to “Big Tech”, which is especially interesting considering that a lot of tech companies choose Ireland to be their European headquarters because of, among other reasons, its low corporate tax . France’s DPA has also joined that fight, their main culprits being Facebook and Google. “Media, Telecoms and Broadcasting” is the sector that suffered the most by fines, which isn’t shocking seeing as the aforementioned fines against tech companies belong to this sector. The nature of this sector potentially allows for the most profitable breaking of GDPR, since it involves easy acquiring and selling data to marketers. “Industry and Commerce” follows, with most fines but whose amount is mostly so high because of the aforementioned 746 000 000 € fine by the Luxembourg DPA.
EDPB has published the “Guidelines on the calculation of administrative fines under the GDPR” which has proven to be quite controversial. Notably, the introduction of starting points of fines has been extensively criticized, as it hasn’t been mentioned by the GDPR. Using the undertaking’s global turnover in the calculation has also caused many to ask for more clarity and wonder about the real goals of GDPR in relation to imposing fines. Mitigating circumstances were often mentioned by the critics, mostly because of the opinion that there are too little. Codes of conduct seem to be a lot less important to the EPDB than to the commentators, failure to comply with them being only a possible aggravating circumstance. The Guidelines are not as of yet final, and it will be very interesting to see what will change, and what will not.
With more fines, more explanation from DPAs and guidelines, fines imposed under GDPR can be expected to get more harmonized in future years. An important part of this effort is led by online databases, such as GDPR enforcement tracker, which has been extensively used in the writing of |
